JVNDB-2026-010335

Parse PlatformのParse Serverにおける解釈の競合に関する脆弱性

Parse ServerはNode.jsを実行できる任意のインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。8.6.73および9.7.1-alpha.4以前のバージョンでは、ファイル拡張子の許可リスト（例: .txt）を通過するファイル名の拡張子を持ちつつも、拡張子とは異なるContent-Typeヘッダー（例: text/html）を使用してファイルをアップロードすることができました。Content-Typeは整合性の検証なしにストレージアダプターへ渡されます。提供されたContent-Typeを保存および配信するストレージアダプター（S3やGCSなど）は、不整合なContent-Typeでファイルを配信します。デフォルトのGridFSアダプターは配信時にファイル名からContent-Typeを派生させるため、影響を受けません。この脆弱性は8.6.73および9.7.1-alpha.4で修正されています。

Parse Platform

• Parse Server 8.6.73 未満
• Parse Server 9.0.0 以上 9.7.1 未満
• Parse Server 9.7.1

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : File upload Content-Type override via extension mismatch  Advisory  parse-community/parse-server  GitHub

1. 解釈の競合(CWE-436) [その他]

1. CVE-2026-35200

1. National Vulnerability Database (NVD) : CVE-2026-35200
2. 関連文書 : fix: File upload Content-Type override via extension mismatch (GHSA-vr5f-2r24-w5hc) by mtrezza  Pull Request #10384  parse-community/parse-server  GitHub
3. 関連文書 : fix: File upload Content-Type override via extension mismatch (GHSA-vr5f-2r24-w5hc) by mtrezza  Pull Request #10383  parse-community/parse-server  GitHub

• [2026年04月09日]
    掲載